Persónuvernd sektar ráðuneyti og YAY um milljónir vegna Ferðagjafarinnar Atli Ísleifsson skrifar 25. nóvember 2021 10:29 Persónuvernd barst fjöldi ábendinga um að við notkun ferðagjafarinnar væri krafist umfangsmikilla persónuupplýsinga og víðtæks aðgangs að símtækjum notenda og var því frumkvæðisrannsókn sett af stað. vísir Persónuvernd hefur sektað atvinnuvega- og nýsköpunarráðuneytið um 7,5 milljónir króna og fyrirtækið YAY um fjórar milljónir króna vegna vinnslu persónuupplýsinga í tengslum við ferðagjöf stjórnvalda. Sektirnar eru lagðar á vegna brota gegn grundvallarreglum persónuverndarlöggjafarinnar, til dæmis um fræðsluskyldu, gagnsæi og öryggi persónuupplýsinga í smáforritinu Ferðagjöf. Persónuvernd segir að fyrir mistök YAY hafi verið aflað víðtækra og ónauðsynlegra aðgangsheimilda í símtækjum notenda smáforritsins, meðal annars að viðkvæmum persónuupplýsingum, svo sem trúnaðarupplýsingum í dagatali. Ráðuneytið hefur brugðist við og segir miður að mistökin hafi orðið en bendir á að enginn hafi orðið fyrir tjóni vegna vinnslunnar. Bárust fjöldi ábendinga Á vef Persónuverndar segir að upphaf málsins megi rekja til útgáfu ferðagjafar stjórnvalda sem hvetja átti landsmenn til ferðalaga innanlands sumarið 2020. Um var að ræða stafræn gjafabréf sem miðlað var til einstaklinga með smáforriti fyrirtækisins YAY ehf. Persónuvernd hafi borist fjöldi ábendinga um að við notkun ferðagjafarinnar væri krafist umfangsmikilla persónuupplýsinga og víðtæks aðgangs að símtækjum notenda og var því frumkvæðisrannsókn sett af stað. Niðurstaða Persónuverndar var sú að atvinnuvega- og nýsköpunarráðuneytið, sem ábyrgðaraðili vinnslunnar, hafi brotið gegn mörgum grundvallarreglum persónuverndarlöggjafarinnar auk þess sem vinnslan var umfangsmikil. Má þar nefna að heimild skorti til vinnslu persónuupplýsinga, m.a. samkvæmt lögum, og að þær kröfur sem gerðar eru til samþykkis fyrir vinnslu voru ekki uppfylltar. Þá var sanngirni og gagnsæis ekki gætt við vinnsluna, þar sem notendum var einungis gert að samþykkja almenna notendaskilmála fyrirtækisins YAY, í stað þess að samþykkja sérstaklega vinnslu persónuupplýsinga við skráningu í forritið. Fræðsla var jafnframt ófullnægjandi um þá vinnslu persónuupplýsinga sem fór fram í reynd. Loks gerðu hvorki atvinnuvega- og nýsköpunarráðuneytið né YAY ehf. viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja öryggi við vinnslu persónuupplýsinga, svo sem með aðlögun og mótun stillinga smáforritsins, auk þess sem ekki var gerður vinnslusamningur milli aðila svo sem lög kveða á um, en gerð slíks samnings telst til mikilvægra skipulagslegra ráðstafana vegna vinnslu persónuupplýsinga.“ Rangir notendaskilmálar Áfram segir að þrátt fyrir ábendingar Persónuverndar um ófullnægjandi fræðslu hafi verið seint gripið til úrbóta og allt þar til verkefninu var lokið hafi notendum verið gert að samþykkja ranga notendaskilmála við innskráningu í smáforritið. „Þá var, fyrir mistök YAY ehf., aflað víðtækra og ónauðsynlegra aðgangsheimilda í símtækjum notenda smáforritsins, meðal annars að viðkvæmum persónuupplýsingum, svo sem trúnaðarupplýsingum í dagatali. Hins vegar kom í ljós við rannsókn málsins að persónuupplýsingar notenda hefðu ekki verið sóttar á grundvelli fyrrgreindra aðgangsheimilda. Fyrirtækið viðurkenndi að vinnslan hefði farið fram fyrir mistök og verið ónauðsynleg. Auk þess komst Persónuvernd að þeirri niðurstöðu að fyrirtækið hefði ekki uppfyllt kröfur persónuverndarlaga um innbyggða og sjálfgefna persónuvernd við uppsetningu smáforritsins. Þá lágu ekki fyrir gögn sem sýndu að gerðar hefðu verið úttektir eða prófanir til að meta skilvirkni og stillingar forritsins, meðal annars með tilliti til þess hvaða persónuupplýsinga væri í reynd óskað við innskráningu í smáforritið og þeirra aðgangsheimilda sem aflað væri sjálfkrafa. Var háttsemi YAY ehf. því ekki talin samræmast persónuverndarlöggjöfinni hvað þessi atriði varðaði,“ segir á vef Persónuverndar. Þórdís Kolbrún Reykfjörð Gylfadóttir ferðamálaráðherra. Í tilkynningu frá ráðuneytinu segir að markmið Ferðagjafarinnar hafi verið að hvetja til ferðalaga innanlands og styðja þannig við íslensk ferðaþjónustufyrirtæki í kjölfar heimsfaraldurs COVID-19.Vísir/Vilhelm Mannleg mistök Atvinnuvega- og nýsköpunarráðuneytið segir í tilkynningu á vef sínum að því þyki miður að mistök hafi átt sér stað sem hafi leitt til þess að aflað hafi verið víðtækari persónuupplýsinga en efni stóðu til. Hafi mistökin meðal annars falist í því að forritið hafi aflað upplýsinga um aldur og kyn einstaklinga fyrstu þrjá dagana eftir útgáfu smáforritsins. „Líkt og fram kemur í ákvörðun Persónuverndar er það mat stofnunarinnar að sú tímaþröng sem verkefnið var unnið í hafi átt stærstan þátt í að umrædd vinnsla hafi farið fram. Um mannleg mistök var að ræða sem þegar í stað var ráðin bót á. Ráðuneytið vill þó vekja sérstaka athygli á því, líkt og fram kemur í ákvörðun Persónuverndar, að enginn einstaklingur varð fyrir tjóni vegna vinnslunnar. Um leið og mistökin urðu ljós, var látið af umræddri öflun upplýsinga og þeim eytt í kjölfarið. Meðan á vinnslu málsins stóð var bætt úr öllum annmörkum og orðið við tilmælum Persónuverndar. Persónuvernd hóf frumkvæðisathugun á málinu í september 2020 og hefur átt í samskiptum bæði við YAY ehf. og atvinnuvega- og nýsköpunarráðuneytið, sem er ábyrgðaraðili framkvæmdarinnar en Stafrænt Ísland leiddi tæknilega útfærslu þess. Ráðuneytið fagnar framkomnum athugasemdum Persónuverndar. Það er mat atvinnuvega- og nýsköpunarráðuneytisins að þrátt fyrir minniháttar hnökra í upphafi verkefnisins, sem í einu og öllu hefur verið bætt úr, hafi framkvæmd Ferðagjafarinnar gengið vel og fjölmargir Íslendingar notið hennar í þágu íslenskrar ferðaþjónustu,“ segir í viðbrögðum ráðuneytisins við ákvörðun Persónuverndar. Fréttin hefur verið uppfærð. Persónuvernd Stjórnsýsla Stafræn þróun Neytendur Mest lesið Ósáttur við að fyrrum eigandi Skagans 3X standi í vegi endurreisnar Viðskipti innlent Staðreyndum snúið á hvolf til að eigna ríkisstjórninni verðbólguna Viðskipti innlent Seðlabankinn hafi ekki önnur úrræði en að lækka vexti Viðskipti innlent Litlu fyrirtækin: Upplifa sjálfbærni sem aukavinnu og vesen Atvinnulíf Tónleikastöðum fækkar: „Þetta er bara sorgleg þróun“ Viðskipti innlent Telja minni líkur á samdrætti í ferðaþjónustu með aukinni kortaveltu Viðskipti innlent Temu kaupin getu hæglega orðið að fíkn Neytendur Verðstríð að hefjast á matvörumarkaði Neytendur „Svartir sauðir“: Neytendasamtökin vara fólk við því að versla við sjö nafngreind fyrirtæki Neytendur Susan Wojcicki er látin Viðskipti erlent Fleiri fréttir Telja minni líkur á samdrætti í ferðaþjónustu með aukinni kortaveltu Ósáttur við að fyrrum eigandi Skagans 3X standi í vegi endurreisnar Staðreyndum snúið á hvolf til að eigna ríkisstjórninni verðbólguna Seðlabankinn hafi ekki önnur úrræði en að lækka vexti Tónleikastöðum fækkar: „Þetta er bara sorgleg þróun“ Spá áframhaldandi óbreyttum stýrivöxtum í næstu viku Tryggja sér 650 milljóna króna fjármögnun „Allt að því galið“ að taka ekki þátt í séreignarsparnaði Þórhallur ráðinn fjármálastjóri SORPU Ætla að lækka verð með ungverskum tannlæknum Hefja sölu áfengis á næstu tveimur vikum Atvinnuleysi mest á Suðurnesjum og minnst á Norðurlandi vestra Afnám tolla myndi gera út af við íslenskan landbúnað Bjóða upp á langlægsta verðið en samkeppnisaðilar óttast ekkert Upplifunin verði eins og að fara í búð í útlöndum Kominn tími til að Hopp og Zolo fái samkeppni Evrópska rafhlaupahjólaleigan Bolt opnar á Íslandi í dag Stórt skref stigið í yfirtöku JBT á Marel Klara nýr forstöðumaður hjá RSV „Komin í hóp fullorðnu félaganna“ Play mætt á aðalmarkað Kauphallar Meiri harka í framkvæmdum en áður og fleiri mál fyrir dóm Stefnir í helmingshækkun fasteignaskatta á atvinnuhúsnæði Allt að 43 prósent lægra matvöruverð án tolla Ein og hálf milljón í sekt vegna leyfislausrar Airbnb útleigu Gjaldþrotið nam 780 milljónum króna Stefna að því að opna Starbucks á fyrri hluta næsta árs Frá Bjarna Benediktssyni til Bestseller Play í Kauphöllina Skemmtistaðurinn 22 opnaður á nýjan leik Sjá meira
Sektirnar eru lagðar á vegna brota gegn grundvallarreglum persónuverndarlöggjafarinnar, til dæmis um fræðsluskyldu, gagnsæi og öryggi persónuupplýsinga í smáforritinu Ferðagjöf. Persónuvernd segir að fyrir mistök YAY hafi verið aflað víðtækra og ónauðsynlegra aðgangsheimilda í símtækjum notenda smáforritsins, meðal annars að viðkvæmum persónuupplýsingum, svo sem trúnaðarupplýsingum í dagatali. Ráðuneytið hefur brugðist við og segir miður að mistökin hafi orðið en bendir á að enginn hafi orðið fyrir tjóni vegna vinnslunnar. Bárust fjöldi ábendinga Á vef Persónuverndar segir að upphaf málsins megi rekja til útgáfu ferðagjafar stjórnvalda sem hvetja átti landsmenn til ferðalaga innanlands sumarið 2020. Um var að ræða stafræn gjafabréf sem miðlað var til einstaklinga með smáforriti fyrirtækisins YAY ehf. Persónuvernd hafi borist fjöldi ábendinga um að við notkun ferðagjafarinnar væri krafist umfangsmikilla persónuupplýsinga og víðtæks aðgangs að símtækjum notenda og var því frumkvæðisrannsókn sett af stað. Niðurstaða Persónuverndar var sú að atvinnuvega- og nýsköpunarráðuneytið, sem ábyrgðaraðili vinnslunnar, hafi brotið gegn mörgum grundvallarreglum persónuverndarlöggjafarinnar auk þess sem vinnslan var umfangsmikil. Má þar nefna að heimild skorti til vinnslu persónuupplýsinga, m.a. samkvæmt lögum, og að þær kröfur sem gerðar eru til samþykkis fyrir vinnslu voru ekki uppfylltar. Þá var sanngirni og gagnsæis ekki gætt við vinnsluna, þar sem notendum var einungis gert að samþykkja almenna notendaskilmála fyrirtækisins YAY, í stað þess að samþykkja sérstaklega vinnslu persónuupplýsinga við skráningu í forritið. Fræðsla var jafnframt ófullnægjandi um þá vinnslu persónuupplýsinga sem fór fram í reynd. Loks gerðu hvorki atvinnuvega- og nýsköpunarráðuneytið né YAY ehf. viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja öryggi við vinnslu persónuupplýsinga, svo sem með aðlögun og mótun stillinga smáforritsins, auk þess sem ekki var gerður vinnslusamningur milli aðila svo sem lög kveða á um, en gerð slíks samnings telst til mikilvægra skipulagslegra ráðstafana vegna vinnslu persónuupplýsinga.“ Rangir notendaskilmálar Áfram segir að þrátt fyrir ábendingar Persónuverndar um ófullnægjandi fræðslu hafi verið seint gripið til úrbóta og allt þar til verkefninu var lokið hafi notendum verið gert að samþykkja ranga notendaskilmála við innskráningu í smáforritið. „Þá var, fyrir mistök YAY ehf., aflað víðtækra og ónauðsynlegra aðgangsheimilda í símtækjum notenda smáforritsins, meðal annars að viðkvæmum persónuupplýsingum, svo sem trúnaðarupplýsingum í dagatali. Hins vegar kom í ljós við rannsókn málsins að persónuupplýsingar notenda hefðu ekki verið sóttar á grundvelli fyrrgreindra aðgangsheimilda. Fyrirtækið viðurkenndi að vinnslan hefði farið fram fyrir mistök og verið ónauðsynleg. Auk þess komst Persónuvernd að þeirri niðurstöðu að fyrirtækið hefði ekki uppfyllt kröfur persónuverndarlaga um innbyggða og sjálfgefna persónuvernd við uppsetningu smáforritsins. Þá lágu ekki fyrir gögn sem sýndu að gerðar hefðu verið úttektir eða prófanir til að meta skilvirkni og stillingar forritsins, meðal annars með tilliti til þess hvaða persónuupplýsinga væri í reynd óskað við innskráningu í smáforritið og þeirra aðgangsheimilda sem aflað væri sjálfkrafa. Var háttsemi YAY ehf. því ekki talin samræmast persónuverndarlöggjöfinni hvað þessi atriði varðaði,“ segir á vef Persónuverndar. Þórdís Kolbrún Reykfjörð Gylfadóttir ferðamálaráðherra. Í tilkynningu frá ráðuneytinu segir að markmið Ferðagjafarinnar hafi verið að hvetja til ferðalaga innanlands og styðja þannig við íslensk ferðaþjónustufyrirtæki í kjölfar heimsfaraldurs COVID-19.Vísir/Vilhelm Mannleg mistök Atvinnuvega- og nýsköpunarráðuneytið segir í tilkynningu á vef sínum að því þyki miður að mistök hafi átt sér stað sem hafi leitt til þess að aflað hafi verið víðtækari persónuupplýsinga en efni stóðu til. Hafi mistökin meðal annars falist í því að forritið hafi aflað upplýsinga um aldur og kyn einstaklinga fyrstu þrjá dagana eftir útgáfu smáforritsins. „Líkt og fram kemur í ákvörðun Persónuverndar er það mat stofnunarinnar að sú tímaþröng sem verkefnið var unnið í hafi átt stærstan þátt í að umrædd vinnsla hafi farið fram. Um mannleg mistök var að ræða sem þegar í stað var ráðin bót á. Ráðuneytið vill þó vekja sérstaka athygli á því, líkt og fram kemur í ákvörðun Persónuverndar, að enginn einstaklingur varð fyrir tjóni vegna vinnslunnar. Um leið og mistökin urðu ljós, var látið af umræddri öflun upplýsinga og þeim eytt í kjölfarið. Meðan á vinnslu málsins stóð var bætt úr öllum annmörkum og orðið við tilmælum Persónuverndar. Persónuvernd hóf frumkvæðisathugun á málinu í september 2020 og hefur átt í samskiptum bæði við YAY ehf. og atvinnuvega- og nýsköpunarráðuneytið, sem er ábyrgðaraðili framkvæmdarinnar en Stafrænt Ísland leiddi tæknilega útfærslu þess. Ráðuneytið fagnar framkomnum athugasemdum Persónuverndar. Það er mat atvinnuvega- og nýsköpunarráðuneytisins að þrátt fyrir minniháttar hnökra í upphafi verkefnisins, sem í einu og öllu hefur verið bætt úr, hafi framkvæmd Ferðagjafarinnar gengið vel og fjölmargir Íslendingar notið hennar í þágu íslenskrar ferðaþjónustu,“ segir í viðbrögðum ráðuneytisins við ákvörðun Persónuverndar. Fréttin hefur verið uppfærð.
Persónuvernd Stjórnsýsla Stafræn þróun Neytendur Mest lesið Ósáttur við að fyrrum eigandi Skagans 3X standi í vegi endurreisnar Viðskipti innlent Staðreyndum snúið á hvolf til að eigna ríkisstjórninni verðbólguna Viðskipti innlent Seðlabankinn hafi ekki önnur úrræði en að lækka vexti Viðskipti innlent Litlu fyrirtækin: Upplifa sjálfbærni sem aukavinnu og vesen Atvinnulíf Tónleikastöðum fækkar: „Þetta er bara sorgleg þróun“ Viðskipti innlent Telja minni líkur á samdrætti í ferðaþjónustu með aukinni kortaveltu Viðskipti innlent Temu kaupin getu hæglega orðið að fíkn Neytendur Verðstríð að hefjast á matvörumarkaði Neytendur „Svartir sauðir“: Neytendasamtökin vara fólk við því að versla við sjö nafngreind fyrirtæki Neytendur Susan Wojcicki er látin Viðskipti erlent Fleiri fréttir Telja minni líkur á samdrætti í ferðaþjónustu með aukinni kortaveltu Ósáttur við að fyrrum eigandi Skagans 3X standi í vegi endurreisnar Staðreyndum snúið á hvolf til að eigna ríkisstjórninni verðbólguna Seðlabankinn hafi ekki önnur úrræði en að lækka vexti Tónleikastöðum fækkar: „Þetta er bara sorgleg þróun“ Spá áframhaldandi óbreyttum stýrivöxtum í næstu viku Tryggja sér 650 milljóna króna fjármögnun „Allt að því galið“ að taka ekki þátt í séreignarsparnaði Þórhallur ráðinn fjármálastjóri SORPU Ætla að lækka verð með ungverskum tannlæknum Hefja sölu áfengis á næstu tveimur vikum Atvinnuleysi mest á Suðurnesjum og minnst á Norðurlandi vestra Afnám tolla myndi gera út af við íslenskan landbúnað Bjóða upp á langlægsta verðið en samkeppnisaðilar óttast ekkert Upplifunin verði eins og að fara í búð í útlöndum Kominn tími til að Hopp og Zolo fái samkeppni Evrópska rafhlaupahjólaleigan Bolt opnar á Íslandi í dag Stórt skref stigið í yfirtöku JBT á Marel Klara nýr forstöðumaður hjá RSV „Komin í hóp fullorðnu félaganna“ Play mætt á aðalmarkað Kauphallar Meiri harka í framkvæmdum en áður og fleiri mál fyrir dóm Stefnir í helmingshækkun fasteignaskatta á atvinnuhúsnæði Allt að 43 prósent lægra matvöruverð án tolla Ein og hálf milljón í sekt vegna leyfislausrar Airbnb útleigu Gjaldþrotið nam 780 milljónum króna Stefna að því að opna Starbucks á fyrri hluta næsta árs Frá Bjarna Benediktssyni til Bestseller Play í Kauphöllina Skemmtistaðurinn 22 opnaður á nýjan leik Sjá meira
„Svartir sauðir“: Neytendasamtökin vara fólk við því að versla við sjö nafngreind fyrirtæki Neytendur
„Svartir sauðir“: Neytendasamtökin vara fólk við því að versla við sjö nafngreind fyrirtæki Neytendur